Bristande kunskap bakom Transportstyrelsens it-skandal

Den upphandling som gjort att säkerhetsklassade uppgifter från Transportstyrelsen läckt till andra länder, fick konsekvensen att Transportstyrelsens generaldirektör Maria Ågren sparkades av regeringen i januari 2017. Även två ministrar fick lämna regeringen.

I januari lämnade Transportstyrelsen över sin rapport till regeringen (pdf). I den har Transportstyrelsen, på uppdrag av regeringen, kartlagt vilka uppgifter som hanteras av icke-säkerhetsprövad personal efter att myndighetens it-drift utkontrakterats.

I rapporten konstateras att information i Transportstyrelsens register varit tillgänglig för it-tekniker hos driftleverantören och dess underleverantörer. Personalen var inte säkerhetsprövad enligt svensk lag, men hade säkerhetskontrollerats av den egna organisationen och skrivit på sekretessavtal. Myndigheten har ett säkerhetsskyddsavtal med leverantören.

Transportstyrelsens utredning visar att det inte finns några indikationer på att informationen i myndighetens it-system hamnat i orätta händer, men att alla uppgifter får anses vara röjda.

I augusti 2017 gav regeringen Thomas Bull, justitieråd i Högsta förvaltningsdomstolen, i uppdrag att utföra en granskning av Transportstyrelsens upphandling av it-driften.

I granskningen (pdf), som i dag överlämnades till regeringen, konstateras att det finns tre huvudskäl till varför det gick som det gick.

Transportstyrelsen saknade i allt för hög grad relevant kunskap om vilken typ av känslig information myndigheten hade samt att det saknades kännedom om hur denna ska hanteras.

I rapporten pekas också på att arbetet med informationssäkerhet vid myndigheten sedan lång tid var eftersatt. Säkerhetsfunktionerna var utspridda i organisationen och tillräcklig samordning saknades.

Transportstyrelsen inledde dessutom tre upphandlingar samtidigt. Tidsgränsen för hur snabbt det skulle gå för IBM att ta över it-driften var snäv, enligt granskningen.

Dessutom var Transportstyrelsens kommunikation inte tillräcklig, både inom myndigheten och mot andra berörda aktörer. Organisationen kring upphandlingen var också komplex och därför ett hinder för effektiv kommunikation inom myndigheten, menar Thomas Bull. Styrelsen verkar endast ha fått översiktlig information och regeringen har inte involverats för att hantera de uppkomna svårigheterna.

När det gäller ansvarsfrågan härleds alla tre huvudskäl framför allt till myndighetens ledning. Styrelsen och generaldirektörerna har haft ett ansvar för hur myndigheten varit organiserad, prioriterat sina resurser och agerat i praktiken.

Rapporten pekar också på att det kan finnas en kultur i statsförvaltningen som gör att generaldirektörer inte tar hjälp utifrån i tillräckligt hög grad.

“Vi har under granskningen reflekterat över varför Transportstyrelsens dåvarande generaldirektör Maria Ågren inte tidigare och tydligare kontaktade regeringen om de problem som uppstått vid myndigheten. Samma reflektion kan gälla andra myndighetschefer som direkt eller indirekt kommit att beröras av händelseförloppet. Vi har inte fått något direkt svar på den frågan annat än intrycket att det ska mycket till innan en generaldirektör vänder sig till regeringen för att få hjälp”, står det i rapporten.

Det anser rapportskrivarna i sig inte är något som är så konstigt, eftersom en sådan vädjan skulle kunna ses som att man inte klarar av sitt uppdrag och alltså är något som var och en skulle dra sig för att göra.

“Men vid sidan av sådana mer psykologiska förklaringar kan möjligen en del av den svenska statsförvaltningens särdrag bidra till att försvåra för myndighetscheferna att be om hjälp när det skulle behövas. Det handlar om att den svenska statsförvaltningen vilar på en långt driven självständighet för myndigheterna i den vardagliga verksamheten, där normen är att myndigheterna är självgående och att regeringen endast ingriper genom formell styrning i de särskilda fall där det behövs. Myndighetscheferna förutsätts alltså klara sina uppdrag utan närmare ledning eller styrning”, står det i granskningen.

Rapporten pekar på att många generaldirektörer går från mindre uppdrag till större och på så sätt får mer ansvar och högre prestige över tid, samtidigt som det också kan gå åt andra hållet.

“Det är inte otänkbart att de här faktorerna medverkar till att en generaldirektör kan känna tvekan att kontakta regeringen i fall när han eller hon stöter på problem och att en sådan kontakt därför tas för sent. Sammanfattningsvis kan konstateras att rollen som myndig- hetschef ställer höga krav på förmågan att göra korrekta bedömningar om när regeringen ska konsulteras och inte. Det är inte uteslutet att regeringen skulle kunna stödja myndighetscheferna tydligare än i dag i dessa avseenden”, står det i rapporten.